MDwiki 通过 Location Hash 参数的跨站脚本漏洞

CVE-2017-20239 影响 MDwiki，使用户面临跨站脚本攻击 (XSS) 的风险。这使得远程攻击者能够在受害者的浏览器中执行恶意 JavaScript 代码。问题在于 MDwiki 如何处理“location hash”参数。攻击者可以创建专门设计的 URL，其中包含在 URL 的哈希片段 (#) 中嵌入的 JavaScript 代码。MDwiki 在没有适当的验证或清理的情况下，会解释并执行此代码，从而损害用户安全。这可能导致 Cookie 被盗、重定向到恶意网站或修改网页内容，从而影响数据完整性和保密性。缺乏已知的修复 (fix) 进一步加剧了这种情况，需要仔细评估和预防措施。

Organizations using MDwiki for internal documentation, knowledge bases, or other web-based content are at risk. Specifically, environments where MDwiki is accessible from external networks or where user input is not properly sanitized are particularly vulnerable. Shared hosting environments where multiple users share the same MDwiki instance also increase the risk of exploitation.

• javascript / generic web:

// Check for unusual JavaScript code in the URL hash
const hash = window.location.hash;
if (hash.includes("<script>alert(\");")) {
  console.warn("Potential XSS vulnerability detected in URL hash");
}

• generic web:

# Check access logs for URLs containing suspicious JavaScript in the hash
grep -i 'location.hash=[^#]*<script>' access.log

1. 已保留2026-04-12
2. 发布日期2026-04-12
3. 修改日期2026-04-13
4. EPSS 更新日期2026-04-20

由于 MDwiki 中不存在 CVE-2017-20239 的官方修复 (fix)，因此缓解措施侧重于预防性和风险降低措施。强烈建议在实施解决方案之前避免使用 MDwiki。如果使用是必不可少的，请实施严格的 Web 安全策略，包括验证和清理所有用户输入，特别是与 URL 相关的输入。教育用户有关点击可疑链接或具有异常哈希片段的 URL 的风险。实施内容安全策略 (CSP) 可以帮助限制可以执行的 JavaScript 来源，从而减轻 XSS 攻击的影响。监控网络流量以查找可疑模式也有助于检测和响应潜在攻击。